Quel CRM pour le secteur de la santé ? Guide 2026

Une scale-up de la e-santé décroche trois contrats hospitaliers. Un prestataire de santé à domicile voit ses demandes de prise en charge doubler. Dans les deux cas, le réflexe est le même : « il nous faut un CRM ». Et dans les deux cas, la même réunion finit par arriver — celle où le DPO demande calmement où seront hébergées les données, et où le projet s’arrête net.

Le secteur de la santé est l’un des rares où le choix d’un CRM commence par une question juridique avant d’être une question d’outil. Certification HDS, article 9 du RGPD, exigences de souveraineté entrées en application en septembre 2026 : ce guide fait le tri, compare les options réellement disponibles et donne des fourchettes de budget honnêtes.

Pourquoi un CRM santé n’est-il pas un CRM comme les autres ?

Les données de santé relèvent des « catégories particulières » de l’article 9 du RGPD : leur traitement est interdit par principe, sauf exceptions strictement encadrées (consentement explicite, prise en charge sanitaire ou sociale…). Concrètement, un fichier client qui contient une pathologie, un motif de consultation ou un compte rendu de passage n’est plus un fichier commercial : c’est un traitement de données sensibles, avec le niveau d’exigence — et de sanction — qui va avec.

La France ajoute une couche spécifique : dès qu’un prestataire héberge, pour le compte d’un tiers, des données de santé collectées à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi médico-social, il doit être certifié « Hébergeur de Données de Santé » (HDS). Votre éditeur de CRM en SaaS est exactement dans ce cas. Et le sujet s’est durci en 2026 : les hébergeurs historiques devaient se mettre en conformité avec le référentiel v2.0 pour le 16 mai 2026, et les exigences de souveraineté — hébergement dans l’Espace économique européen, encadrement strict des transferts — s’appliquent depuis septembre 2026.

Résultat : la liste des CRM réellement éligibles fond d’un coup dès que des données patients entrent dans l’outil. Mieux vaut le savoir avant la démo commerciale qu’après la signature du bon de commande.

Votre projet manipule-t-il vraiment des données de santé ?

C’est la question qui détermine tout le reste — et la bonne nouvelle, c’est qu’une partie des acteurs du secteur n’est pas concernée. Derrière « CRM santé » se cachent deux situations très différentes.

Premier cas : le CRM commercial B2B. Une medtech qui équipe des blocs opératoires, un éditeur de logiciels pour pharmacies ou un laboratoire qui anime un réseau d’officines gèrent des comptes, des contacts professionnels, des opportunités et des devis. Aucune donnée patient n’entre dans le CRM : un outil « classique » bien configuré fait parfaitement l’affaire, aux conditions RGPD habituelles d’un fichier B2B.

Second cas : le CRM touche au parcours de personnes. Prise de rendez-vous liée à des soins, coordination de patients ou d’aidants, télésuivi, gestion de demandes de prise en charge : on bascule en données de santé, donc hébergement HDS obligatoire et RGPD renforcé — analyse d’impact, minimisation, habilitations fines, traçabilité des accès.

Le piège le plus fréquent tient en un champ : le commentaire libre. Nous avons vu, chez un prestataire de santé à domicile, des coordinateurs noter « oxygénothérapie, 3 passages par semaine » dans la fiche contact d’un CRM généraliste. Personne n’avait décidé de traiter des données de santé ; tout le monde en traitait. C’est exactement ce qu’un cadrage sérieux doit éviter : la cartographie des données avec le DPO est la première étape de notre méthode, avant toute considération d’outil.

HDS, RGPD, EHDS : que dit la réglementation en 2026 ?

Côté HDS, retenez trois points. Un : l’obligation pèse sur l’hébergement pour le compte de tiers — un hôpital qui héberge lui-même ses données n’y est pas soumis, mais votre fournisseur SaaS, si. Deux : le référentiel v2.0 est désormais la norme, pour les nouvelles certifications comme pour les hébergeurs historiques. Trois : depuis septembre 2026 s’ajoutent les obligations de souveraineté, qui imposent un hébergement dans l’Espace économique européen et encadrent les accès depuis des pays tiers. Vérifiez donc le certificat et son périmètre exact : un fournisseur peut n’être certifié que pour certaines activités d’hébergement.

Côté RGPD, un CRM contenant des données de santé implique presque toujours une analyse d’impact (AIPD), une base légale solide au titre de l’article 9, des durées de conservation définies et une journalisation des accès opposable en cas de contrôle.

Gardez enfin un œil sur l’EHDS, l’espace européen des données de santé : le règlement adopté en 2025 s’appliquera progressivement d’ici la fin de la décennie et poussera fortement l’interopérabilité. Choisir aujourd’hui un CRM fermé, sans API sérieuses, c’est se compliquer 2029.

Salesforce, HubSpot ou solution spécialisée : qui peut héberger quoi ?

Salesforce est certifié HDS sur un périmètre de services défini — le certificat est public sur son site de conformité. C’est ce qui permet d’envisager Sales Cloud ou Health Cloud pour des cas d’usage incluant des données patients, à condition de rester dans le périmètre couvert et de configurer l’org en conséquence. Health Cloud ajoute un modèle de données santé prêt à l’emploi : patients, aidants, plans de soins, parcours. Un vrai accélérateur, mais pas un projet à improviser : le déploiement gagne à passer par un intégrateur Salesforce qui connaît à la fois l’outil et le cadre réglementaire.

HubSpot, à ce jour, ne dispose pas de certification HDS. Cela ne le disqualifie pas du secteur : pour le marketing et la vente B2B d’une medtech ou d’un éditeur e-santé, sans aucune donnée patient, il reste un excellent choix. En revanche, dossiers patients et coordination de soins n’y ont pas leur place.

Microsoft constitue une alternative crédible, Azure disposant de la certification HDS. Quant aux éditeurs français spécialisés — agenda médical, téléconsultation, dossier patient —, ils sont souvent HDS natifs mais limités côté fonctions CRM : beaucoup d’organisations aboutissent à une architecture hybride, outil métier certifié d’un côté, CRM commercial de l’autre, reliés par des flux qui ne font jamais transiter de données de santé.

Avant de signer, trois questions écartent l’essentiel des mauvaises surprises :

• Pouvez-vous fournir votre certificat HDS et détailler précisément les activités couvertes ?
• Où les données sont-elles physiquement hébergées, et avec quelles garanties de souveraineté ?
• Comment récupère-t-on l’intégralité des données en cas de départ (réversibilité) ?

Quel budget prévoir pour un CRM conforme dans la santé ?

Parlons chiffres, sans langue de bois. Sur les licences, la conformité se paie : Health Cloud démarre à 350 € par utilisateur et par mois en édition Core (tarif public affiché fin 2026, facturation annuelle) et grimpe jusqu’à 700 à 725 € pour les éditions Max incluant les agents IA. À comparer aux éditions Sales Cloud classiques, deux à trois fois moins chères : ne payez le modèle de données santé que si vos cas d’usage le justifient.

Sur l’intégration, les fourchettes que nous constatons en PME : de l’ordre de 15 000 à 40 000 € pour un CRM commercial B2B santé bien cadré, et plutôt 40 000 à 80 000 € dès que le parcours patient entre en jeu — AIPD, habilitations fines, pseudonymisation des flux et journalisation demandent un vrai travail de conception. Comptez trois à six mois de projet. Ces ordres de grandeur dépendent évidemment du périmètre : rien ne remplace un chiffrage précis sur vos cas d’usage.

Un exemple anonymisé : un prestataire de santé à domicile d’environ 80 salariés a centralisé ses demandes de prise en charge dans un CRM certifié. Délai moyen de traitement passé d’une dizaine de jours à moins de cinq, fin des doubles saisies entre standard et coordinateurs, et surtout une traçabilité complète des accès — ce qui, le jour d’un contrôle, vaut tous les discours.

Comment cadrer votre projet CRM santé sans faux départ ?

La séquence gagnante tient en quatre étapes. Cartographier les données avec le DPO, champ par champ : santé ou pas santé. Choisir l’architecture : CRM généraliste certifié, outil spécialisé, ou hybride. Exiger les preuves écrites : certificat, périmètre, localisation, réversibilité. Puis déployer par lots courts, en soignant l’adoption des équipes terrain. C’est le pragmatisme que nous appliquons à tous nos projets d’agence CRM pour PME — avec, dans la santé, un cran d’exigence documentaire en plus. Notre koala dort vingt heures par jour, mais jamais pendant la relecture d’un certificat HDS.

FAQ : trois questions qui reviennent tout le temps

Une medtech B2B a-t-elle besoin d’un hébergement HDS ?

Non, tant que le CRM ne contient que des comptes et des contacts professionnels : acheteurs hospitaliers, ingénieurs biomédicaux, pharmaciens. Oui dès que des données de patients identifiables y transitent — par exemple un SAV sur dispositifs implantés qui mentionne des informations cliniques. La frontière se vérifie champ par champ, pas au doigt mouillé.

HubSpot est-il certifié HDS ?

Non, pas à ce jour. HubSpot reste pertinent pour le marketing et la prospection B2B dans le secteur, à condition qu’aucune donnée patient n’y soit stockée. Dans le doute, la liste officielle des hébergeurs certifiés est publiée par l’Agence du Numérique en Santé — c’est la seule source qui fasse foi.

Faut-il forcément Health Cloud, ou Sales Cloud suffit-il ?

Sales Cloud, déployé sur le bon périmètre, suffit souvent pour un cycle commercial, même dans la santé. Health Cloud se justifie quand vous gérez des parcours : patients, aidants, plans de soins, coordination. L’arbitrage se joue sur vos cas d’usage réels — c’est typiquement ce qu’un audit de cadrage tranche en quelques jours.